你当前正在访问 Microsoft Azure Global Edition 技术文档网站。 如果需要访问由世纪互联运营的 Microsoft Azure 中国技术文档网站,请访问 https://docs.azure.cn。
Azure 虚拟 WAN 中有哪些新增功能?
Azure 虚拟 WAN 定期更新。 随时了解最新公告。 本文提供以下事项的信息:
- 最新版本
- 正在实行的预览和已知限制(如果适用)
- 已知问题
- 已弃用的功能(如果适用)
还可以在此处找到最新的 Azure 虚拟 WAN 更新并订阅 RSS 源。
最新版本
路由
类型 | 区域 | 名称 | 说明 | 添加日期 | 限制 |
---|---|---|---|---|---|
指标 | 路由 | 新的虚拟中心指标 | 现在有两个新的虚拟 WAN 中心指标可显示虚拟中心的容量和支路 VM 利用率:“路由基础结构单元”和“支路 VM 利用率”。 | 2024 年 8 月 | “支路 VM 利用率”指标表示已部署支路 VM 的数量占中心路由基础结构单元能够支持的支路 VM 总数的百分比。 |
功能 | 路由 | 路由意向 | 路由意向是一种机制,可用于配置虚拟 WAN,以便通过中心内部署的安全解决方案发送专用或 Internet 流量。 | 2023 年 5 月 | 路由意向已在 Azure 公有云中正式发布。 请参阅其他限制的文档。 |
功能 | 路由 | 虚拟中心路由首选项 | 使用中心路由首选项,可以在虚拟中心路由器跨 S2S VPN、ER 和 SD-WAN NVA 连接学习多个路由时选择路由流量的方式,从而更好地控制基础结构。 | 2022 年 10 月 | |
功能 | 路由 | 为连接到虚拟 WAN 中心的分支 VNet 中的工作负载绕过下一个跃点 IP 正式发布版 | 通过为连接到虚拟 WAN 中心的分支 VNet 中的工作负载绕过下一个跃点 IP,可以在不进行任何其他配置的情况下使用 NVA 部署和访问 VNet 中的其他资源。 | 2022 年 10 月 | |
SKU/功能/验证 | 路由 | BGP 终结点(正式版) | 虚拟中心路由器现在已公开与之对等互连的功能,从而实现直接通过边界网关协议 (BGP) 路由协议交换路由信息。 | 2022 年 6 月 | |
功能 | 路由 | 通过支路中的 NVA 传播 0.0.0.0/0 | 可将 Internet 流量发送到支路中的 NVA 以供传出。 | 2021 年 3 月 | 0.0.0.0/0 不会跨中心传播。 无法指定包含不同下一个跃点 IP 地址的多个公共前缀。 |
NVA 和集成式第三方解决方案
类型 | 区域 | 名称 | 说明 | 添加日期 | 限制 |
---|---|---|---|---|---|
功能 | 网络虚拟设备 (NVA)/虚拟 WAN 中心内的集成式第三方解决方案 | 适用于下一代防火墙 NVA 的 Internet 入站/DNAT 公共预览版 | 虚拟 WAN 中心内网络虚拟设备的目标 NAT 让你可以将应用程序发布给 Internet 中的用户,而无需直接公开应用程序或服务器的公共 IP。 使用者通过分配给防火墙网络虚拟设备的公共 IP 地址访问应用程序。 | 2024 年 2 月 | 支持 Fortinet 下一代防火墙 Check Point CloudGuard。 有关限制和注意事项的完整列表,请参阅 DNAT 文档。 |
功能 | 服务型软件 | Palo Alto Networks Cloud NGFW | Palo Alto Networks Cloud NGFW 的正式版本,这是第一个可在虚拟 WAN 中心内部署的软件即服务安全产品。 | 2023 年 7 月 | Palo Alto Networks Cloud NGFW 现在可在所有虚拟 WAN 中心(新和旧)部署。 有关限制和区域可用性的完整列表,请参阅 Palo Alto Networks Cloud NGFW 的限制。 限制与路由意图相同。 |
功能 | 网络虚拟设备 (NVA)/虚拟 WAN 中心内的集成式第三方解决方案 | Fortinet NGFW | Fortinet NGFW 和 Fortinet SD-WAN/NGFW 双角色 NVA 已正式发布。 | 2023 年 5 月 | 限制与路由意图相同。 不支持 Internet 入站方案。 |
功能 | 网络虚拟设备 (NVA)/虚拟 WAN 中心内的集成式第三方解决方案 | Azure 虚拟 WAN 的 Check Point CloudGuard 网络安全 | 已在所有 Azure 区域的虚拟 MAN 中心内正式发布可从 Azure 市场部署的 Check Point CloudGuard 网络安全 NVA。 | 2023 年 5 月 | 限制与路由意图相同。 不支持 Internet 入站方案。 |
功能 | 网络虚拟设备 (NVA)/虚拟 WAN 中心内的集成式第三方解决方案 | Versa SD-WAN | Versa SD-WAN 预览版。 | 2021 年 11 月 | |
功能 | 网络虚拟设备 (NVA)/虚拟 WAN 中心内的集成式第三方解决方案 | Cisco Viptela、Barracuda 和 VMware (Velocloud) SD-WAN | 虚拟 WAN 中的 SD-WAN 解决方案正式版。 | 2021 年 6 月/7 月 |
ExpressRoute
类型 | 区域 | 名称 | 说明 | 添加日期 | 限制 |
---|---|---|---|---|---|
功能 | ExpressRoute | 可将 ExpressRoute 指标导出为诊断日志 | 2023 年 4 月 | ||
功能 | ExpressRoute | ExpressRoute 线路页现在显示 vWAN 连接 | 2022 年 8 月 |
站点到站点
类型 | 区域 | 名称 | 说明 | 添加日期 | 限制 |
---|---|---|---|---|---|
功能 | 分支连接/站点到站点 VPN | 多 APIPA BGP | 可为 vWAN 中的 VPN 网关实例指定多个自定义 BGP IP。 | 2022 年 6 月 | 目前只能通过门户使用此功能。 (在 PowerShell 中尚不可用) |
功能 | 分支连接/站点到站点 VPN | 自定义流量选择器 | 可以指定站点到站点 VPN 网关协商哪些流量选择器对 | 2022 年 5 月 | Azure 协商所有远程和本地前缀对的流量选择器。 无法指定协商单个流量选择器对。 |
功能 | 分支连接/站点到站点 VPN | 站点到站点连接模式选项 | 可以配置客户或 vWAN 网关是否应在创建新的 S2S 连接时启动站点到站点连接。 | 2022 年 2 月 | |
功能 | 分支连接/站点到站点 VPN | 数据包捕获 | 客户可以在站点到站点 VPN 网关上执行数据包捕获。 | 2021 年 11 月 | |
功能 | 分支连接/站点到站点 VPN 远程用户连接/点到站点 VPN |
VPN 流量的热土豆路由与冷土豆路由 | 可为 Azure VPN 出口流量指定 Microsoft 或 ISP POP 首选项。 有关详细信息,请参阅 Azure 中的路由首选项。 | 2021 年 6 月 | 该参数只能在创建网关时指定,事后不可修改。 |
功能 | 分支连接/站点到站点 VPN | NAT | 可对站点到站点 VPN 分支之间,以及站点到站点 VPN 分支与 Azure 之间的重叠地址进行 NAT 处理。 | 2021 年 3 月 | 基于策略的 VPN 连接不支持 NAT。 |
用户 VPN(点到站点)
类型 | 区域 | 名称 | 说明 | 添加日期 | 限制 |
---|---|---|---|---|---|
功能 | 远程用户连接/点到站点 VPN | 适用于 P2S 用户 VPN 的用户组和 IP 地址池 | 配置 P2S 用户 VPN 的功能,可基于用户标识或身份验证凭据向用户分配特定地址池中的 IP 地址。 | 2023 年 5 月 | |
功能 | 远程用户连接/点到站点 VPN | 全局配置文件包含/排除 | 可将点到站点网关标记为“已排除”,这意味着连接到全局配置文件的用户不会负载均衡到该网关。 | 2022 年 2 月 | |
功能 | 远程用户连接/点到站点 VPN | P2S VPN 的强制隧道 | 可以强制将所有流量发送到 Azure 虚拟 WAN 以供传出。 | 2021 年 10 月 | 仅适用于 Azure VPN 客户端版本 2:1900:39.0 或更高版本。 |
功能 | 远程用户连接/点到站点 VPN | macOS Azure VPN 客户端 | 适用于 macOS 的 Azure VPN 客户端正式版。 | 2021 年 8 月 | |
功能 | 分支连接/站点到站点 VPN 远程用户连接/点到站点 VPN |
VPN 流量的热土豆路由与冷土豆路由 | 可为 Azure VPN 出口流量指定 Microsoft 或 ISP POP 首选项。 有关详细信息,请参阅 Azure 中的路由首选项。 | 2021 年 6 月 | 该参数只能在创建网关时指定,事后不可修改。 |
功能 | 远程用户连接/点到站点 VPN | 远程 RADIUS 服务器 | P2S VPN 网关能够将身份验证流量转发到与不同中心连接的 VNet 中的 RADIUS 服务器,或转发到本地托管的 RADIUS 服务器。 | 2021 年 4 月 | |
功能 | 远程用户连接/点到站点 VPN | 双 RADIUS 服务器 | 可以指定用来为身份验证流量提供服务的主要和后备 RADIUS 服务器。 | 2021 年 3 月 | |
Feature | 远程用户连接/点到站点 VPN | 自定义 IPsec 策略 | 可为 IKEv2 点到站点连接指定连接/加密参数。 | 2021 年 3 月 | 只有基于 IKEv2 的连接支持此功能。 查看可用参数列表。 |
SKU | 远程用户连接/点到站点 VPN | 支持最多 10 万个用户连接到单个中心 | 将连接到单个网关的最大并发用户数增加到了 100,000。 | 2021 年 3 月 | |
Feature | 远程用户连接/点到站点 VPN | 多种身份验证方法 | 单个网关可以使用多种身份验证机制。 | 2023 年 6 月 | 支持运行所有协议组合的网关。 请注意,Azure AD 身份验证仍然需要使用 OpenVPN |
预览
以下功能目前处于封闭公共预览版阶段。 如果在阅读列出的文章后,你仍有疑问或需要支持,请联系与该功能对应的联系人别名(如果适用)。
预览版类型 | 功能 | 说明 | 联系人别名 | 限制 |
---|---|---|---|---|
托管预览版 | 路由映射 | 通过此功能,可以对虚拟 WAN 中的路由执行路由聚合、路由筛选和修改 BGP 属性。 | preview-route-maps@microsoft.com | 有关已知限制,请参阅:关于路线映射。 |
托管预览版 | Aruba EdgeConnect SD-WAN | 将 Aruba EdgeConnect SD-WAN NVA 部署到虚拟 WAN 中心 | preview-vwan-aruba@microsoft.com |
已知问题
# | 问题 | 说明 | 首次报告日期 | 缓解措施 |
---|---|---|---|---|
1 | ExpressRoute 与 Azure 存储和 0.0.0.0/0 路由的连接 | 如果你已在虚拟中心路由表中静态配置了 0.0.0.0/0 路由,或通过网络虚拟设备动态配置了流量检查,则该流量在发往 Azure 存储并且与虚拟中心中的 ExpressRoute 网关位于同一区域时会绕过检查。 | 变通方法是使用专用链接访问 Azure 存储,或者将 Azure 存储服务放在虚拟中心以外的其他区域。 | |
2 | 默认路由 (0/0) 不会在中心之间传播 | 0/0 路由不会在两个虚拟 WAN 中心之间传播。 | 2020 年 6 月 | 无。 注意:尽管虚拟 WAN 团队已修复此问题,即“VNet 对等互连”页的“静态路由”部分中定义的静态路由会传播到在“传播到路由表”中列出的路由表或在“VNet 连接”页上的“传播到路由表”中列出的标签,但是默认路由 (0/0) 不会在中心之间传播。 |
3 | 同一对等互连位置中的两条 ExpressRoute 线路连接到了多个中心 | 如果在同一对等互连位置中拥有两条 ExpressRoute 线路,并且这两条线路都连接到同一虚拟 WAN 中的多个虚拟中心,则与 Azure 资源的连接可能会受到影响。 | 2023 年 7 月 | 确保每个虚拟中心至少有 1 个虚拟网络与其连接。 这可确保与 Azure 资源建立连接。 虚拟 WAN 团队也在努力解决此问题。 |
4 | ExpressRoute ECMP 支持 | 目前并未默认为虚拟中心部署启用 ExpressRoute ECMP。 当多个 ExpressRoute 线路连接到虚拟 WAN 中心时,ECMP 允许通过 ExpressRoute 将从分支虚拟网络到本地的流量分布到所有播发相同本地路由的 ExpressRoute 线路上。 | 在 2025 年 1 月 1 日之后,若要为虚拟 WAN 中心启用 ECMP,请联系 virtual-wan-ecmp@microsoft.com。 | |
5 | 虚拟 WAN 中心地址前缀不会播发到同一虚拟 WAN 中的其他虚拟 WAN 中心。 | 无法利用虚拟 WAN 中心到中心的完整网格路由功能,为部署在 VNET 或与虚拟 WAN 中心连接的本地部署 NVA 编排软件提供与部署在不同虚拟 WAN 中心的集成 NVA 或 SaaS 解决方案之间的连接性。 | 如果 NVA 或 SaaS 业务流程协调程序部署在本地,请将该本地站点连接到部署了 NVA 或 SaaS 解决方案的所有虚拟 WAN 中心。 如果业务流程协调程序位于 Azure VNET 中,请使用公共 IP 管理 NVA 或 SaaS 解决方案。 对 Azure VNET 协调器的支持已在路线图上提供。 | |
6 | 将路由意向配置为在同一虚拟 WAN 中心内的连接 NVA 与防火墙 NVA 之间路由 | 虚拟 WAN 路由意向专用路由策略不支持在部署在同一虚拟中心内的 SD-WAN NVA 与防火墙 NVA(或 SaaS 解决方案)之间进行路由。 | 请将连接和防火墙集成 NVA 部署在同一 Azure 区域中的两个不同中心内。 或者,将连接 NVA 部署到连接到虚拟 WAN 中心的辐射虚拟网络,并利用 BGP 对等互连。 | |
7 | 如果用于 BGP 对等互连的 ASN 在部署后更新,则虚拟 WAN 中心路由器与部署在虚拟 WAN 中心内的 NVA 之间的 BGP 不会启动。 | 虚拟中心路由器要求中心内的 NVA 使用首次部署 NVA 时在路由器上配置的 ASN。 如果 NVA OS 配置为使用新的 ASN,则更新与 NVA 资源上的 NVA 关联的 ASN 不会将新的 ASN 注册到虚拟中心路由器,因此,如果 NVA OS 配置为使用新的 ASN,则路由器会拒绝来自 NVA 的 BGP 会话。 | 使用正确的 ASN 删除并重新创建虚拟 WAN 中心的 NVA。 | |
8 | 强制隧道用例不支持从本地(VPN、ExpressRoute、BGP 终结点)或在虚拟网络连接上静态配置的默认路由 (0.0.0.0/0)。 | 从本地播发的 0.0.0.0.0/0 路由(或在虚拟网络连接上静态配置)不会应用于 Azure 防火墙或其他在虚拟 WAN 中心部署的安全解决方案。 中心的安全解决方案检查的数据包将绕过从本地学习的路由,直接路由到 Internet | 仅在非安全中心方案中从本地发布默认路由。 | |
9 | 路由意向更新操作在专用路由策略下一跃点资源是 NVA 或 SaaS 解决方案的部署中会失败。 | 在将专用路由策略配置为下一跃点 NVA 或 SaaS 解决方案以及其他专用前缀的部署中,修改路由意向会失败。 失败的操作示例包括添加或删除 Internet 或专用路由策略。 此已知问题不会影响未配置其他专用前缀的部署。 | 删除任何其他专用前缀,更新路由意向,然后重新配置其他专用前缀。 | |
10 | DNAT 流量在关联其他 IP 地址后不会转发到 NVA。 | 将其他 IP 地址关联到已具有活动入站安全规则的 NVA 后,由于代码缺陷,DNAT 流量不会正确转发到 NVA。 | 2024 年 11 月 | 使用合作伙伴业务流程/管理软件修改(创建或删除现有)配置的入站安全规则以还原连接。 |
11 | 入站安全规则配置可伸缩性 | 配置大量(大约 100 条)规则时,入站安全规则配置可能会失败。 | 2024 年 11 月 | 无,请联系 Azure 支持部门了解详细信息。 |
后续步骤
有关 Azure 虚拟 WAN 的详细信息,请参阅什么是 Azure 虚拟 WAN 和常见问题解答 - FAQ。